Uso de su propio bucket de Amazon S3

De forma predeterminada, AWS Transform usa un bucket de Amazon S3 administrado por un servicio para almacenar los artefactos de transformación. En su lugar, puede optar por utilizar su propio bucket de Amazon S3 para tener un mayor control sobre el almacenamiento de datos, el cifrado y las políticas de acceso.

Requisitos previos

Antes de configurar su propio bucket de Amazon S3, asegúrese de que se cumplen los siguientes requisitos:

Configuraciones de cifrado compatibles

Su depósito debe usar una de las siguientes configuraciones de cifrado:

No se admiten las siguientes:

Configuración del bucket de Amazon S3

Puede configurar AWS Transform para que utilice su propio bucket de Amazon S3 desde la consola de AWS Transform.

Tras guardar la configuración, AWS Transform utiliza el depósito para almacenar los artefactos de transformación.

Política de bucket obligatoria

Debe configurar la política de bucket para conceder el acceso a AWS Transform. Añada la siguiente política de bucket a su bucket de Amazon S3 para permitir que el director del servicio AWS Transform lea, escriba, elimine y enumere los artefactos de transformación.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts",
                "s3:PutObjectTagging"
            ],
            "Resource": "arn:aws:s3:::bucket-name/AWSTransform/*",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "transform.amazonaws.com"
                ]
            },
            "Action": "s3:ListBucket",
            "Resource": "arn:aws:s3:::bucket-name",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "profile-account-id",
                    "aws:SourceArn": "profile-arn"
                }
            }
        }
    ]
}

Reemplace los siguientes valores:

Configuración CORS requerida

Si utiliza la aplicación web AWS Transform, debe configurar Cross-Origin Resource Sharing (CORS) en su bucket de Amazon S3. Puede encontrar el dominio de la aplicación web después de activar AWS Transform. Para obtener más información, consulte Introducción al AWS Transformar.

[
    {
        "AllowedHeaders": [
            "host",
            "content-type",
            "if-none-match",
            "x-amz-checksum-sha256",
            "x-amz-expected-bucket-owner",
            "x-amz-server-side-encryption",
            "x-amz-server-side-encryption-aws-kms-key-id",
            "x-amz-server-side-encryption-context",
            "x-amz-source-account",
            "x-amz-source-arn"
        ],
        "AllowedMethods": [
            "GET",
            "PUT",
            "HEAD"
        ],
        "AllowedOrigins": [
            "webapp-domain"
        ],
        "ExposeHeaders": [
            "ETag",
            "x-amz-checksum-sha256",
            "x-amz-request-id",
            "x-amz-id-2"
        ],
        "MaxAgeSeconds": 3600
    }
]

Reemplace los siguientes valores:

Política de claves de KMS (opcional)

Esta sección solo se aplica cuando el depósito está cifrado con una clave KMS administrada por el cliente. Si tu bucket lo usa SSE-S3, omite esta sección.

Si especificas tu propia clave AWS KMS para el cifrado del bucket, añade la siguiente declaración a tu política de claves. AWS Transform se basa en Forward Access Sessions (FAS) para crear subvenciones para su director de servicio. Estas concesiones se utilizan para validar su clave y acceder a los artefactos de su bucket de Amazon S3.

{
    "Sid": "AllowAWSTransformServiceAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::key-owner-account-id:root"
    },
    "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:ViaService": "transform.region.amazonaws.com"
        }
    }
}

Reemplace los siguientes valores:

Volver al depósito predeterminado

Puedes volver al depósito gestionado por el servicio en cualquier momento.

Cargar archivos directamente a tu bucket

Puede cargar archivos directamente a su bucket de Amazon S3 sin utilizar la aplicación web AWS Transform. Para que los archivos cargados estén disponibles para los agentes de transformación, cárguelos en la User Uploads carpeta correspondiente al trabajo. La ruta del directorio de esta carpeta utiliza el siguiente formato:

AWSTransform/Workspaces/workspace-id/Jobs/job-id/User Uploads/

Reemplace los siguientes valores:

Cada trabajo de AWS Transform tiene su propia User Uploads carpeta. Los archivos que suba a esta ruta aparecen en la aplicación web y están disponibles para los agentes de transformación mientras completan el trabajo.

Las rutas de los archivos no deben contener .. espacios ni al principio ni al final; los agentes no pueden ver los archivos que infrinjan estas restricciones. //

x-amz-server-side-encryption: aws:kms
x-amz-server-side-encryption-aws-kms-key-id: your-kms-key-arn

Matriz de compatibilidad

En la siguiente tabla se resume la compatibilidad de AWS Transform con las características habituales de los buckets de Amazon S3.